Ledger heeft bevestigd dat hardwarewallets die werden verkocht via de Zuidoost-Aziatische wederverkoper CryptoBilis zijn aangetast door een supply-chain-aanval. Kwaadwillenden hebben hardware-implantaten in de Ledger X-apparaten geplaatst die de seed-phrase van gebruikers onderscheppen door display-output en knopindrukken vast te leggen. Deze gegevens worden vervolgens via een eSIM en LTE-verbinding naar de aanvallers verzonden.
Onderzoekers, waaronder Mark Karpelès en Tibane Labs, hebben twee varianten van het implantaat ontdekt: één die de originele batterij vervangt en een geavanceerdere versie die achter het OLED-display is weggestopt. Ledger waarschuwt gebruikers om alleen via officiële kanalen te kopen en merkt op dat de 'Genuine Check'-functie van het apparaat deze specifieke hardware-modificaties niet kan detecteren.
Ledger bevestigt spionageschip in hardwarewallets na cryptodiefstallen
Ledger heeft bevestigd dat sommige van zijn apparaten, die werden gedistribueerd via de Zuidoost-Aziatische wederverkoper CryptoBilis, waren aangetast met een hardware-implantaat dat de cryptocurrency-wallets van gebruikers leegtrok.
Het bedrijf is een onderzoek gestart naar meldingen van gebruikers die fondsen verloren uit wallets die waren aangeschaft via CryptoBilis, een grote in Maleisië gevestigde retailer van hardwarewallets die actief is in heel Zuidoost-Azië.
Sinds 16 september hebben sommige onderzoekers het implantaat in de Ledger X aangetoond. Zij geven aan dat de gemanipuleerde apparaten beschikbaar waren voor bijna de helft van de prijs van de originele hardware. Ledger-wallets zijn fysieke apparaten die zijn ontworpen om de privésleutels die cryptovaluta-activa beheren en transacties autoriseren, veilig op te slaan.
Op 9 oktober meldde Ledger dat het een onderzoek was gestart naar meldingen van cryptocurrency-verliezen en vroeg het CryptoBilis om te stoppen met de verkoop en verzending van Ledger-apparaten. De volgende dag bevestigde het bedrijf hardware-manipulatie op ten minste één apparaat, hoewel het nog onduidelijk is hoe of wanneer de apparaten precies zijn aangepast.
"Ledger kan bevestigen dat een van de apparaten van de getroffen gebruikers een ongeautoriseerd hardware-implantaat bevatte. Ledger benadert de getroffen gebruikers als onderdeel van het lopende onderzoek," aldus Ledger. De fabrikant van de cryptowallet merkte ook op dat het samenwerkt met de autoriteiten om de dader te identificeren en ter verantwoording te roepen.
Ledger waarschuwde: "[...] Ledger adviseert gebruikers die een Ledger-apparaat bij deze wederverkoper hebben gekocht, om de configuratie niet te starten als ze dat nog niet hebben gedaan. Als u uw Ledger-apparaat al heeft geconfigureerd, overweeg dan om uw activa te verplaatsen naar een nieuwe Ledger-signer (met een nieuwe seed)."
Gisteren gaf Ledger een nieuwe update waarin werd bevestigd dat alle meldingen van onverwachte fondsverliezen waren gekoppeld aan apparaten die via CryptoBilis waren verkocht, waarbij het getroffen volume als "beperkt" werd omschreven.
De werking van het spionageschip
Hoewel het bedrijf niet heeft onthuld welke typen apparaten precies zijn aangetast in deze supply-chain-aanval, spreken online rapporten over een spionage-implantaat in Ledger X-apparaten dat naadloos opgaat in de legitieme hardware.
Mark Karpelès, momenteel leider van Karpeles Lab Inc. en CTO bij Shells.com, toonde een foto van het nieuwe implantaat in de Ledger X. Hij stelde dat dit "een aanzienlijke evolutie" is ten opzichte van vorige versies, waarbij handmatig gesoldeerde draden werden gebruikt.
Hardware-implantaat in Ledger X-apparaat (bron: Mark Karpelès)
De voormalige CEO van Mt. Gox legde uit dat het implantaat verborgen zat achter het scherm, maar dat de antennekabel een indicatie had kunnen zijn dat er iets mis was. Volgens Karpelès legde de kwaadaardige hardware de display-output en knopindrukken van het apparaat vast om de seed-phrase te identificeren, waarna deze via een LTE-verbinding met behulp van een eSIM naar de aanvaller werd verzonden.
"Ledger Nano X wordt gebruikt om crypto op te slaan. De spionage-implantaten worden gebruikt om alle crypto die u op die Ledger Nano X bewaart, te stelen," legde Karpelès uit. Hoewel de CEO CryptoBilis niet expliciet noemde als de leverancier van de gecompromitteerde Ledger X, zei hij wel dat het apparaat niet via de aanbevolen kanalen van Ledger was gekocht, maar via "een bekend platform via een Chinese verkoper (product verzonden vanuit Maleisië)."
Technische analyse van de implantaten
Tibane Labs, een studio voor onderzoek en ontwikkeling van cryptocurrency, bevestigde de bevindingen van Karpelès en voegde toe dat er twee versies van het implantaat voor de Ledger X bestonden. De onderzoekers kwamen in het bezit van twee varianten: één in een Ledger-apparaat gekocht op Amazon Japan van een "in China gevestelde verkoper, verzonden vanuit Maleisië", en de andere gekocht via Yahoo! Auctions in Japan.
In een rapport van afgelopen weekend merkt Tibane Labs op dat de dreigingsactor ruimte maakte voor de kwaadaardige schakelingen door de originele batterij te vervangen door een kleinere, die zowel het implantaat als de Ledger X van stroom voorziet.
"Onder de batterij en antenne bevindt zich een ST STM32G431KBU6 (Arm Cortex-M4, 128 KB flash, UFQFPN-32)," stelden de onderzoekers vast in een van de apparaten. Voor de connectiviteit gebruikte de actor "een minuscule eSIM, een 8-pad package van slechts 2×2 mm, naast de MCU, en een afgeschermde LTE-module die de woorden verzendt." In het tweede geanalyseerde hardware-wallet ontdekten de onderzoekers van Tibane dat de markeringen op zowel de MCU (Microcontroller Unit) als de eSIM waren weggekrabd om de onderdeelnummers te verbergen.
De tweede variant, die lijkt op degene die Karpelès beschreef, is geavanceerder. Deze werkte op de originele batterij en paste in de ruimte die normaal gesproken wordt ingenomen door de schuimrubberen vulling onder het OLED-display.
In beide gevallen was de antennedraad het meest opvallende kenmerk: bij het tweede implantaat liep deze langs de bovenrand; bij het eerste implantaat was de antenne met tape bovenop de batterij en de afgeschermde LTE-module bevestigd.
Hardware-implantaat in Ledger X (bron: Tibane Labs)
De onderzoekers waarschuwden dat het bovenstaande exemplaar gebruikmaakte van "een ontworpen, gepaneliseerde flex-PCB, het type dat wordt besteld bij een printplaatfabrikant, en niet een handgebouwd eenmalig exemplaar."
Veiligheidsadvies
Ledger adviseert gebruikers om geen aankopen te doen bij niet-geautoriseerde wederverkopers, omdat zij een verhoogd risico lopen op het ontvangen van nagemaakte of gewijzigde apparaten. Het bedrijf herinnert zijn geautoriseerde wederverkopers en distributeurs er ook aan om producten alleen via geautoriseerde kanalen te betrekken en om te voorkomen dat geretourneerde producten opnieuw in de voorraad worden opgenomen.
Ledger biedt een 'Genuine Check'-mechanisme aan om de authenticiteit van het apparaat te bepalen; echter waarschuwt het bedrijf expliciet dat dit geen toegevoegde implantaten kan detecteren wanneer het originele Secure Element van het apparaat intact blijft.
Op dit moment is er geen aanwijzing dat andere Ledger-wederverkopers gecompromitteerde wallets verzenden, maar het vertrouwen van de gemeenschap in het netwerk van wederverkopers is geschaad, waarbij velen nu pleiten voor de ontmanteling ervan.
Ledger bevestigt spionageschip in hardwarewallets na cryptodiefstallen
Ledger heeft bevestigd dat sommige van zijn apparaten, die werden gedistribueerd via de Zuidoost-Aziatische wederverkoper CryptoBilis, waren aangetast met een hardware-implantaat dat de cryptocurrency-wallets van gebruikers leegtrok.
Het bedrijf is een onderzoek gestart naar meldingen van gebruikers die fondsen verloren uit wallets die waren aangeschaft via CryptoBilis, een grote in Maleisië gevestigde retailer van hardwarewallets die actief is in heel Zuidoost-Azië.
Sinds 16 september hebben sommige onderzoekers het implantaat in de Ledger X aangetoond. Zij geven aan dat de gemanipuleerde apparaten beschikbaar waren voor bijna de helft van de prijs van de originele hardware. Ledger-wallets zijn fysieke apparaten die zijn ontworpen om de privésleutels die cryptovaluta-activa beheren en transacties autoriseren, veilig op te slaan.
Op 9 oktober meldde Ledger dat het een onderzoek was gestart naar meldingen van cryptocurrency-verliezen en vroeg het CryptoBilis om te stoppen met de verkoop en verzending van Ledger-apparaten. De volgende dag bevestigde het bedrijf hardware-manipulatie op ten minste één apparaat, hoewel het nog onduidelijk is hoe of wanneer de apparaten precies zijn aangepast.
"Ledger kan bevestigen dat een van de apparaten van de getroffen gebruikers een ongeautoriseerd hardware-implantaat bevatte. Ledger benadert de getroffen gebruikers als onderdeel van het lopende onderzoek," aldus Ledger. De fabrikant van de cryptowallet merkte ook op dat het samenwerkt met de autoriteiten om de dader te identificeren en ter verantwoording te roepen.
Ledger waarschuwde: "[...] Ledger adviseert gebruikers die een Ledger-apparaat bij deze wederverkoper hebben gekocht, om de configuratie niet te starten als ze dat nog niet hebben gedaan. Als u uw Ledger-apparaat al heeft geconfigureerd, overweeg dan om uw activa te verplaatsen naar een nieuwe Ledger-signer (met een nieuwe seed)."
Gisteren gaf Ledger een nieuwe update waarin werd bevestigd dat alle meldingen van onverwachte fondsverliezen waren gekoppeld aan apparaten die via CryptoBilis waren verkocht, waarbij het getroffen volume als "beperkt" werd omschreven.
De werking van het spionageschip
Hoewel het bedrijf niet heeft onthuld welke typen apparaten precies zijn aangetast in deze supply-chain-aanval, spreken online rapporten over een spionage-implantaat in Ledger X-apparaten dat naadloos opgaat in de legitieme hardware.
Mark Karpelès, momenteel leider van Karpeles Lab Inc. en CTO bij Shells.com, toonde een foto van het nieuwe implantaat in de Ledger X. Hij stelde dat dit "een aanzienlijke evolutie" is ten opzichte van vorige versies, waarbij handmatig gesoldeerde draden werden gebruikt.
Hardware-implantaat in Ledger X-apparaat (bron: Mark Karpelès)
De voormalige CEO van Mt. Gox legde uit dat het implantaat verborgen zat achter het scherm, maar dat de antennekabel een indicatie had kunnen zijn dat er iets mis was. Volgens Karpelès legde de kwaadaardige hardware de display-output en knopindrukken van het apparaat vast om de seed-phrase te identificeren, waarna deze via een LTE-verbinding met behulp van een eSIM naar de aanvaller werd verzonden.
"Ledger Nano X wordt gebruikt om crypto op te slaan. De spionage-implantaten worden gebruikt om alle crypto die u op die Ledger Nano X bewaart, te stelen," legde Karpelès uit. Hoewel de CEO CryptoBilis niet expliciet noemde als de leverancier van de gecompromitteerde Ledger X, zei hij wel dat het apparaat niet via de aanbevolen kanalen van Ledger was gekocht, maar via "een bekend platform via een Chinese verkoper (product verzonden vanuit Maleisië)."
Technische analyse van de implantaten
Tibane Labs, een studio voor onderzoek en ontwikkeling van cryptocurrency, bevestigde de bevindingen van Karpelès en voegde toe dat er twee versies van het implantaat voor de Ledger X bestonden. De onderzoekers kwamen in het bezit van twee varianten: één in een Ledger-apparaat gekocht op Amazon Japan van een "in China gevestelde verkoper, verzonden vanuit Maleisië", en de andere gekocht via Yahoo! Auctions in Japan.
In een rapport van afgelopen weekend merkt Tibane Labs op dat de dreigingsactor ruimte maakte voor de kwaadaardige schakelingen door de originele batterij te vervangen door een kleinere, die zowel het implantaat als de Ledger X van stroom voorziet.
"Onder de batterij en antenne bevindt zich een ST STM32G431KBU6 (Arm Cortex-M4, 128 KB flash, UFQFPN-32)," stelden de onderzoekers vast in een van de apparaten. Voor de connectiviteit gebruikte de actor "een minuscule eSIM, een 8-pad package van slechts 2×2 mm, naast de MCU, en een afgeschermde LTE-module die de woorden verzendt." In het tweede geanalyseerde hardware-wallet ontdekten de onderzoekers van Tibane dat de markeringen op zowel de MCU (Microcontroller Unit) als de eSIM waren weggekrabd om de onderdeelnummers te verbergen.
De tweede variant, die lijkt op degene die Karpelès beschreef, is geavanceerder. Deze werkte op de originele batterij en paste in de ruimte die normaal gesproken wordt ingenomen door de schuimrubberen vulling onder het OLED-display.
In beide gevallen was de antennedraad het meest opvallende kenmerk: bij het tweede implantaat liep deze langs de bovenrand; bij het eerste implantaat was de antenne met tape bovenop de batterij en de afgeschermde LTE-module bevestigd.
Hardware-implantaat in Ledger X (bron: Tibane Labs)
De onderzoekers waarschuwden dat het bovenstaande exemplaar gebruikmaakte van "een ontworpen, gepaneliseerde flex-PCB, het type dat wordt besteld bij een printplaatfabrikant, en niet een handgebouwd eenmalig exemplaar."
Veiligheidsadvies
Ledger adviseert gebruikers om geen aankopen te doen bij niet-geautoriseerde wederverkopers, omdat zij een verhoogd risico lopen op het ontvangen van nagemaakte of gewijzigde apparaten. Het bedrijf herinnert zijn geautoriseerde wederverkopers en distributeurs er ook aan om producten alleen via geautoriseerde kanalen te betrekken en om te voorkomen dat geretourneerde producten opnieuw in de voorraad worden opgenomen.
Ledger biedt een 'Genuine Check'-mechanisme aan om de authenticiteit van het apparaat te bepalen; echter waarschuwt het bedrijf expliciet dat dit geen toegevoegde implantaten kan detecteren wanneer het originele Secure Element van het apparaat intact blijft.
Op dit moment is er geen aanwijzing dat andere Ledger-wederverkopers gecompromitteerde wallets verzenden, maar het vertrouwen van de gemeenschap in het netwerk van wederverkopers is geschaad, waarbij velen nu pleiten voor de ontmanteling ervan.
Groetjes,